2004 ВЕСТНИК НОВГОРОДСКОГО ГОСУДАРСТВЕННОГО УНИВЕРСИТЕТА №28

УДК 681.3.068

Н.В.Василенко, В.А.Макаров

МОДЕЛИ ОЦЕНКИ НАДЕЖНОСТИ ПРОГРАММНОГО ОБЕСПЕЧЕНИЯ

14 of the most famous models of software safety evaluation are reviewed. According to the review, there is no absolutely safe programme, as the absolutely safety degree can′t be theoretically proved and therefore it can not be achieved.

1.Введение

Вмеждународном стандарте ISO 9126:1991 [1] надежность выделена как одна из основных характеристик качества программного обеспечения (ПО). Стандартный словарь терминов программного инжиниринга [2] определяет надежность программного обеспечения как способность системы или компонента выполнять требуемые функции в заданных условиях на протяжении указанного периода времени.

Сама проблема надежности программного обеспечения имеет, по крайней мере, два

аспекта: обеспечение и оценка (измерение) надежности [3]. Практически вся имеющаяся литература посвящена первому аспекту, а вопрос оценки надежности компьютерных программ недостаточно проработан. Вместе с тем очевидно, что надежность программы гораздо важнее таких традиционных ее характеристик, как время исполнения или требуемый объем оперативной памяти, однако никакой общепринятой количественной меры надежности программ до сих пор не существует.

Модели надежности программных средств подразделяются на аналитические и эмпирические [4]. Аналитические модели дают возможность рассчитать количественные показатели надежности, основываясь на данных о поведении программы в процессе тестирования. Эмпирические модели базируются на анализе структурных особенностей программ.

Аналитические модели представлены двумя группами: динамические и статические. В динамических моделях поведение ПО (появление отказов) рассматривается во времени. Если фиксируются интервалы каждого отказа, то получается непрерывная картина появления отказов во времени (модели с непрерывным временем). Может фиксироваться только число отказов за произвольный интервал времени. В этом случае поведение ПО может быть представлено только в дискретных точках (модели с дискретным временем).

В статических моделях появление отказов не связывают со временем, а учитывают зависимость количества ошибок либо от числа тестовых прогонов (модели по области ошибок), либо от характеристики входных данных (модели по области данных).

2. Аналитические динамические модели 2.1. Модель Шумана

Исходные данные для модели Шумана собираются в процессе тестирования ПО в течение фиксированных или случайных временных интервалов. Использование модели Шумана предполагает, что тестирование проводится в несколько этапов. Каждый этап представляет собой выполнение программы на полном комплексе разработанных тестовых данных. Выявленные ошибки регистрируются, но не исправляются. По завершении этапа на основе собранных данных модель Шумана может быть использована для расчета количественных показателей надежности. После этого исправляются ошибки, обнаруженные на предыдущем этапе, при необходимости корректируются тестовые наборы, и проводится новый этап тестирования. При использовании модели Шумана предполагается, что исходное количество ошибок в

126

2004 ВЕСТНИК НОВГОРОДСКОГО ГОСУДАРСТВЕННОГО УНИВЕРСИТЕТА №28

программе постоянно и в процессе тестирования может уменьшаться по мере того, как ошибки выявляются и исправляются (новые ошибки не вносятся).

Базовые понятия модели заимствованы из теории надежности аппаратных средств [5]. R(t) — функция надежности — вероятность того, что ни одна ошибка не появится на

интервале от 0 до t.

F(t) — функцияотказов— вероятностьтого, чтоошибкапоявитсянаинтервалеот0 доt.

F(t) = 1– R(t)

f(t) — плотность вероятности для F(t), f (t) = dFdt(t) = − dRd(tt) .

z(t) — функция риска — условная вероятность того, что ошибка появится на интервале от 0 до t + t, при условии, что до t ошибок не было. Если Т — время появления ошибки, то

Решая это дифференциальное уравнение относительно R(t) при начальном условии R(0) = 1, получим

tср — среднее время между отказами, tcp = ∞∫R(t)dt.

0

В рассматриваемой модели автор предполагает, что значение функции z(t) пропорционально числу ошибок, оставшихся в ПО после израсходованного на тестирование вре-

мени τ: z(t) = C εr (τ), где С — некоторая константа; t — время работы ПО без отказа; εr (τ) — удельное число ошибок на одну машинную команду, оставшихся в системе после

ния; IT — общее число машинных команд, которое предполагается постоянным в рамках этапа тестирования; εc (τ) — удельное количество обнаруженных ошибок на одну машин-

ную команду в течение времени τ. Тогда

Из величин, входящих в формулы (1) и (2), неизвестны начальное значение ошибок в ПО (ET) и коэффициент пропорциональности С. Для их определения прибегают к следующим рассуждениям. В процессе тестирования собирается информация о времени и количестве ошибок на каждом прогоне, т.е. общее время тестирования τ складывается из времени каждого прогона. Полагая, что интенсивность появления ошибок постоянна и равна λ, а Ai — количество ошибок на i-м прогоне, можно вычислить

i =1

127

2004 ВЕСТНИК НОВГОРОДСКОГО ГОСУДАРСТВЕННОГО УНИВЕРСИТЕТА №28

Имея данные для двух различных моментов тестирования τa и τb, которые выбираются произвольно с учетом требования εc(τb) > εc(τa), можно сопоставить уравнения (2) и (3) при τa и τb и получить следующие выражения:

с помощью которых рассчитывается надежность программы по формуле (1).

2.2. Модель Ла Падула

По этой модели выполнение последовательности тестов производится в m этапов. Каждый этап заканчивается внесением изменений (исправлений) в ПО. Возрастающая функция надежности базируется на числе ошибок, обнаруженных в ходе каждого тестового прогона.

Надежность ПО в течение i-го этапа

R(t) = R(∞) − Аi , i =1,2...,

где А — параметр роста; R(∞) = lim R(i) — предельная надежность ПО. Эти неизвестные

i→∞

величины автор предлагает вычислить, решив следующие уравнения:

где Si — число тестов на i-м этапе; mi — число отказов во время i-го этапа; i = 1,2,… m. Определяемый по этой модели показатель есть надежность ПО на i-м этапе:

R(t) = R(∞) − Ai , i = m +1, m + 2,...

2.3. Модель Джелинского — Моранды

Основное положение, на котором базируется модель, заключается в том, что в процессе тестирования ПО значение интервалов времени тестирования между обнаружением двух ошибок имеет экспоненциальное распределение с интенсивностью отказов, пропорциональной числу еще не выявленных ошибок. Каждая обнаруженная ошибка устраняется, число оставшихся ошибок уменьшается на единицу.

Функция плотности распределения времени обнаружения i-й ошибки, отсчитываемо-

где λi — интенсивность отказов, которая пропорциональна числу еще не выявленных ошибок в программе:

где N — число ошибок, первоначально присутствующих в программе; С — коэффициент пропорциональности.

Наиболее вероятные значения величин N и C определяются на основе данных, полученных при тестировании. Для этого фиксируют время выполнения программы до оче-

редного отказа t1,t2,t3,…,tk. Значения N и C можно получить, решив систему уравнений

128